Un investigador descubrió que una aplicación maliciosa puede obtener acceso root en dispositivos OnePlus y OPPO mediante dos fallos de software, sin requerir permisos del usuario. OnePlus confirmó las vulnerabilidades pero intentó evitar su publicación, advirtiendo sobre posibles acciones legales al investigador. No existe un parche oficial aún, por lo que se recomienda instalar aplicaciones únicamente de fuentes confiables.






Un OnePlus 15 que ejecute la última versión de OxygenOS puede ser rooteado por una aplicación maliciosa que instales, una que no solicita ningún permiso especial. El investigador Rasmus Moorats encadenó dos fallos en el propio software de OnePlus [enlace] para obtener acceso root, el nivel más alto de control sobre un teléfono Android.

OnePlus le dijo que los mismos fallos afectan a muchos más de sus propios dispositivos y a los de OPPO, aunque no ha especificado cuáles.

OnePlus confirmó ambos fallos en mayo. En la misma respuesta, la empresa le dijo a Moorats que ella sola decide cuándo hacer público un fallo y advirtió que publicar sin su permiso podría resultar en responsabilidades legales. Él publicó el 24 de septiembre de todos modos, cuando OnePlus aún no había lanzado ninguna solución.

OnePlus expuso su posición en la respuesta, que Moorats publicó íntegramente [enlace]. Afirmó que había una solución programada, pero reclamó "el derecho final exclusivo de divulgación de vulnerabilidades", y le dijo que incluso después de que se lance una solución, los investigadores no pueden publicar los detalles técnicos completos por su cuenta.

La empresa argumentó que las normas europeas de ciberseguridad obligan a los fabricantes a aceptar y corregir los informes, pero no permiten que los investigadores los divulguen sin el consentimiento del fabricante. Advirtió que si publicaba sin permiso, OnePlus "perseguiría las responsabilidades legales pertinentes de acuerdo con las leyes aplicables".

Cómo funciona el ataque

Moorats encontró el primer fallo en un servicio de OnePlus llamado AtlasService, que recopila datos de depuración, se ejecuta como root y acepta llamadas de cualquier aplicación sin comprobar quién llama.

Una llamada manipulada llega a una herramienta de depuración de OnePlus que toma el texto de la aplicación y lo inserta, sin comprobarlo, en un comando del sistema. Eso le otorga a la aplicación acceso root, pero solo dentro de una zona restringida del sistema llamada dumpstate, que no puede hacer todo lo que el root normalmente puede.

El segundo fallo termina el trabajo. OnePlus incluye otro servicio, un ayudante de hardware llamado olc2, con un comando que ejecuta cualquier instrucción de shell que reciba. Su única protección es que quien llama ya debe ser root, algo que el primer fallo proporciona.

Esta vez, el comando se ejecuta en una zona que concede todos los privilegios de Linux de bajo nivel, incluida la capacidad de cargar código del kernel, dando a la aplicación el control del dispositivo a nivel de sistema.

Quién se ve afectado y qué puedes hacer

El ataque es local. Primero debe instalarse y ejecutarse una aplicación maliciosa en el teléfono, por lo que no puede lanzarse a través de Internet. Pero una vez que está ahí, la aplicación no necesita permisos y no muestra ninguna solicitud al usuario, y funcionó en un teléfono stock que Moorats no había modificado.

No hay pruebas de que alguien haya utilizado los fallos en un ataque real.

Moorats también confirmó el ataque en un OnePlus 12 Pro más antiguo, y espera el mismo problema en OxygenOS 16 en general. OnePlus y OPPO construyen sus teléfonos sobre software compartido, razón por la cual la advertencia de OnePlus cubrió a ambos.

Hasta la divulgación de Moorats, OnePlus no había asignado ningún CVE ni lanzado ninguna solución, y no se pudo encontrar ningún aviso de OnePlus nombrando los fallos. Hasta que se lance una solución, la única defensa práctica es aquello que el ataque necesita para comenzar: instala aplicaciones solo de fuentes en las que confíes, porque no puede ejecutarse sin una aplicación maliciosa en el teléfono.

Según el relato de Moorats, la divulgación duró unos cinco meses:

* 18 de abril de 2026: informó de ambos fallos a OnePlus.
* 20 de mayo: OnePlus los confirmó, reclamó el control exclusivo sobre la divulgación y advirtió de responsabilidad legal si publicaba.
* 22 de junio: OnePlus dio una actualización sobre su solución y le pidió que esperara, y él aceptó no publicar antes del 17 de septiembre.
* 20 de julio y 11 de septiembre: pidió actualizaciones y no recibió respuesta.
* 24 de septiembre: publicó.

Por separado, este no es el único caso reciente de una aplicación instalada que alcanza el root en teléfonos Android insignia.

En agosto, Lukas Maar, un investigador de la firma de seguridad Calif, mostró una técnica diferente [enlace] que permitió a una aplicación sin permisos obtener root en teléfonos bloqueados que ejecutaban el firmware más reciente de Samsung, Xiaomi, OPPO, OnePlus y Realme atacando código que los fabricantes añaden a Android.

OnePlus también ha sido lento en responder a los investigadores anteriormente. En 2025, Rapid7 informó [enlace] sobre un fallo independiente de OxygenOS que permitía a cualquier aplicación leer los textos de un usuario, y afirmó que OnePlus no respondió hasta que la investigación fue pública.

Fuente:
THN